GitHub Boşluğu Anthropic və Google-un CI İş Akışı Sirlərinə Girişə Yol Açıb

GitHub Boşluğu Anthropic və Google-un CI İş Akışı Sirlərinə Girişə Yol Açıb

Novee Security tərəfindən aparılan tədqiqatlar nəticəsində, GitHub-da açılan bir məsələnin (issue), heç bir depozitar hüququ olmayan bir hesaba baxmayaraq, Anthropic (Claude kod bazası) və Google-un (Gemini CLI) öz kod agenti depolarının arxasında duran CI (Continuous Integration) runner-ləri üzərində kod icra etməyə imkan verdiyi ortaya çıxıb. OpenAI üçün isə bu, növbəti agent icrasını ələ keçirmək üçün kifayət olub.

Bu kritik təhləükəsizlik zəifliyi, potensial olaraq, GitHub platformasında depozitar hüquqları olmayan təcavüzkarların hədəf şirkətlərin avtomatlaşdırılmış inteqrasiya (CI) sistemlərində icra edilən iş akışlarına müdaxilə etməsinə şərait yaradır. CI runner-lər adətən depozitarın həssas məlumatlarına (workflow secrets) birbaşa daxil ola bildiyi üçün, bu boşluq həm məlumat sızmasına, həm də sistemin tamamilə ələ keçirilməsinə səbəb ola bilər.

Novee Security təhlükəsizlik araşdırmaçıları hər bir satıcının agentinə qarşı hücumu onların defolt olaraq təqdim etdiyi konfiqurasiyada həyata keçirmişdir. Bu yanaşma, boşluğun təkcə xüsusi quraşdırmalarda deyil, geniş tətbiq olunan standart konfiqurasiyalarda da mövcud olduğunu vurğulayır. Tədqiqatın nəticələri və aşkar edilmiş zəifliklərin detalları 5 avqustda Black Hat USA konfransında ictimaiyyətə təqdim edilmişdir.